arXiv 安全与密码类（cs.CR）和 IACR 密码学预印本。
说明事实正确但立场单一：检索增强生成中的立场投毒与证据平衡
简介本文研究检索增强生成系统中的一类注入攻击：文档事实正确，但对争议性议题的立场是单边的，从而影响生成回答的立场。实验显示，在约18.9%的投毒比例下，四个不同厂商的生成模型都出现了与投毒方向一致的立场偏移。文章提出位于检索器与生成器之间的立场平衡中间件，包括立场检测、固定平衡（2正2反1中立）和去偏提示，不额外调用大语言模型。
说明用大语言模型修复网页应用中的失效访问控制：一项实证基准研究
简介该研究构建了 BAC-Bench，这是首个针对失效访问控制（BAC）漏洞修复的基准，包含来自六个网页应用、四种编程语言的 46 个真实漏洞。研究评估了八个基础大语言模型与两个商业大语言模型智能体的修复效果，单轮基础模型平均修复 37.68%，加入两种极简脚手架后平均提升至 66.03%。
说明NameTrap：通过变量名引导AI编程代理写出存在安全漏洞的代码
简介论文提出NameTrap攻击，仅通过重命名第三方Python文件中的标识符，就能引导AI编程代理生成攻击者指定类别（CWE-78、CWE-79、CWE-327、CWE-502）的安全漏洞。测试覆盖六种代理与十种底层模型，在多种配置下攻击成功率达到22.5%至56.0%，部分组合达到75.0%。论文同时指出，三种AI安全分析工具和四种静态分析工具都未报告被投毒文件中的目标弱点。
看点提出仅通过重命名标识符诱导编码代理写出漏洞的新攻击面，并在六种代理、十种模型上系统评估，对比了随机、中性重命名和XOXO基线。
说明HNSecW：一种用于近似最近邻搜索的对数时间多方安全计算协议
简介本文提出HNSecW，这是一种用于近似最近邻（ANN）搜索的多方安全计算协议，首次实现了对数级搜索时间O(log N)。作者以HNSW算法为基础重新设计控制流与数据结构，使执行与数据无关，并通过离线重洗牌和部分数据库复制获得对数时间。协议还支持多次顺序查询与批量查询。实验表明其保持了与明文HNSW相当的高召回率，并在百万级数据集上比已有工作效率提升20倍以上。
看点首次将MPC近邻搜索降至对数时间，通过重设计HNSW控制流与离线重排实现；实验显示百万级数据上效率提升超20倍，证据较充分。
说明重审 AES 密钥包装：伪造界限、结构观察与对 NIST SP 800-38F 修订的建议
简介本文是对 NIST 正在修订的 SP 800-38F（AES 密钥包装模式 KW 与 KWP）的技术意见的扩充版。作者指出该标准给出的伪造概率未考虑自适应攻击，给出 KW、KWP、TKW 的相应伪造概率，并表明检查明文长度可显著提高 KWP 的安全级别。文章还修正了长消息情形下的碰撞条件，论证成功伪造会泄露明文前缀，并得出 KW 不具备超生日界安全性的结论。
看点指出SP 800-38F伪造概率未考虑自适应攻击，修正了KW长消息碰撞条件并给出无认证的区分器，对标准修订有实际意义。
说明针对 HSS/LMS 与 XMSS 中 SHA-2 消息摘要的 Kelsey–Kohno 攻击变体
简介本文提出一种针对有状态哈希签名方案 HSS/LMS 与 XMSS（分别使用 SHA-256 和截断的 SHA-256/192）消息哈希的多目标第二原像攻击。攻击基于 Kelsey 与 Kohno 的 herding 技术，将多份签名的链式状态合并为单一状态，从而一次搜索覆盖所有签名，绕过用于阻止多目标攻击的密钥与叶索引承诺。论文估算，对 SHA-256 在 2^64 份签名下计算成本从名义的 2^256 降至约 2^166（4 GiB 以内消息），对 SHA-256/192 约为 2^153；SHAKE256 参数集不受影响。
看点将Kelsey-Kohno herding用于多目标第二原像攻击，在SHA-256/HSS/LMS/XMSS上给出具体复杂度下降的新分析，证据为复杂度推导。
说明带预处理的最近向量与最近码字问题的近最优困难性
简介本文研究最近向量问题（CVP）和最近码字问题（NCP）在预处理模型下的近似困难性：算法可预先获得格或码并生成多项式长度的建议，之后需在多项式时间内求解任意目标。在 NP 不包含于 P/poly 的假设下，文中给出了对两类问题近似因子的多项式级下界。作者还提出了将矩方法扩展到预处理设定的技术，并给出一种直接从 PCP 的归约，其因子为 M^{Ω(1/(log log M)^2)}。
看点将预处理模型下的CVP/NCP硬度因子从亚多项式提升为多项式，并扩展了矩方法，理论改进显著；影响主要在复杂性与密码学理论领域。
说明编程语言生态系统的政策：一项定性分析
简介编程语言生态系统（如 R 的 CRAN）大幅加速了软件复用，也带来了供应链风险与安全事件。本文分析了多个热门生态系统的政策，三位作者对38个政策类别和8份政策达成中等程度一致。结果显示各政策总体呈分歧而非趋同，恶意软件、知识产权和内容删除等类别获得普遍认可，而包大小限制、指标操纵、拼写抢注和二进制上传等更细分的类别差异较大。
说明利用智能体自身的开发历史保障其生成代码的安全
简介智能体生成的代码可能通过测试却遗漏安全校验。论文提出TRACER工作流，利用智能体的编辑轨迹和记录的假设，在符号级别追踪代码变化，并对每个已接受的修复附加可执行检查。在SusVibes基准上，符号级追踪将漏洞符号纳入审查范围的比例达94.6%，远高于主扫描器警告的13.4%。
说明回归基础：形式化分析提示改进弱到强监控
简介论文关注前沿智能体系统可能采取有害错误行为的问题，指出现有监控器存在完全漏检、部分检测、接受虚假良性解释和怀疑分数校准错误四类失效模式。作者提出在对话记录中加入命令来源、安全敏感操作标记和任务禁止效果标记等补充提示，并称此方法能显著提升较弱的提取-评估监控器表现，且计算成本极低。
说明发送给外部大模型的文档的可逆假名化：开源双语基准与引擎
简介本文针对专业人员把工作文档发送给外部大语言模型的场景，提出可逆假名化方法：请求前用占位符替换个人数据，回答后在本地还原。作者公开了五个现有工具和一个正则基线在俄语与英式英语上的基准测试，并基于两款最强工具开发了开源引擎。所有评测数据均为合成数据，真实文档未经测试。结果显示，在两种语言的测试集上，现有最佳工具分别有61%和58%的文档留下了完整的敏感值，而该引擎在同一生成器产生的文档上相应比例约为0.3%和0.2%；但在俄语中，姓名占位符的还原率仅为94.6%，未达到99%的阈值。
说明论文说明：针对残差受限误差攻击在 CRT-FHE 非退化误差分布下不适用性的分析
简介本文回应了针对 CRT-FHE 方案的一项密码分析。作者指出，所报告的密钥恢复与明文恢复攻击完全依赖于一种刻意构造、支撑集位于 CRT 编码函数核中的误差分布，使有效加密误差恒为零，因而攻击的对象实际上是无噪声的 RLWE 实例。作者认为，在方案预定的中心二项式误差分布下，整个误差多项式落入编码器核的概率在所报告的参数下可以忽略，因此这些恢复方法并不构成对具体实例的攻击。
说明CVE 到 ATT&CK 映射：基于证据约束的排序方法
简介该论文研究如何把 CVE 漏洞自动映射到 MITRE ATT&CK 攻击技术，帮助防御者从漏洞信息推断攻击者行为。作者提出 TRACE 框架，先融合多来源的结构与语义证据构建候选技术集合，再结合 CVE 与技术的文本交互及频率感知评分进行重排序。在六个公开数据集上，候选构建将 201 项技术的搜索空间缩小约 60%，并使 95.11%–100% 的 CVE 保留至少一个真实技术。
说明自适应门限 Schnorr 攻击中的选定承诺与认证译码区域
简介本文分析 Crites 与 Stewart 提出的门限 Schnorr 签名自适应伪造攻击。作者证明：若敌手以预先固定的系数向量构造承诺，并只在若干由已知译码定理界定的区域内恢复见证，其伪造成功概率至多为 QM/p，其中 p 为群阶。对多组参数，该界限在实际规模下极小。作者还对若干译码定理进行了分类，而该攻击的困难性与门限 Schnorr 方案的自适应安全性仍未解决。
说明可验证增量计算中的不可延展性：基于可证伪假设的定义、攻击与构造
简介本文研究可验证增量计算（IVC）中的不可延展性，此方向此前受到的关注有限。作者讨论了如何从可证伪假设构造模拟可靠（simulation-sound）的IVC，并指出现有设计无法“免费”获得该性质，还提出了一族新的定义。主要结果包括：Valiant式证明在自然的零知识版本下可被延展；基于可证伪假设的唯一NP型IVC方案无法满足任何形式的模拟可靠性；以及在次指数iO和次指数LWE或双线性映射假设下，构造出具有一定模拟可靠性的IVC。
看点提出了模拟可靠性IVC的新定义框架并给出可证伪假设下的首个构造，同时证明了Valiant式设计的可延展性，理论贡献突出，但影响面限于密码学子领域。
说明排序不等于判定：查询时RAG投毒防御中的基准捷径与工作点崩溃
简介这篇论文研究检索增强生成（RAG）的投毒防御。作者发现，常见防御在基准上的近乎完美检测结果，很大程度上取决于投毒文本的构造方式，例如是否在每段注入文本前加入目标问题。去掉这一线索后，某防御的AUROC和漏检率明显恶化。论文认为，检测结果只有同时报告投毒集的构造特征和实际部署阈值下的误报率，才具有参考价值。
看点指出现有查询时过滤器的高检测率可能源于投毒集构造线索（目标问题重复、长度），而非过滤器真正理解内容；通过删除前缀与填充实验验证，并有多语料多攻击家族对比。
说明EdgeDeID：一个不使用真实患者数据训练的0.6B临床去标识化模型
简介该论文提出EdgeDeID，一个0.6B参数的仅解码器去标识化模型，可在本地运行，训练时不使用真实患者文本，而是用三个大模型生成合成临床笔记并统一标注。在100份合成笔记的域内基准上，其微平均F1达0.994，优于最强的现成系统（0.857）；量化后可在CPU上以615 MB运行。但在MIMIC ICU护理笔记上F1降至0.48。
说明FHEW/TFHE 中的精确误差自举与梳状自举
简介本文提出在 FHEW 和 TFHE 中自举误差而非解密函数，通过盲旋转精确恢复误差，使消息模数只受噪声限制，可远大于标准 TFHE。作者还提出梳状自举，一次盲旋转可同时刷新多个密文。基于 TFHE-rs 的实验显示，8 位整数的刷新和乘法速度分别明显快于 TFHE-rs，但计算其他函数仍需可编程自举。
说明VeilDNS：从第一个 UDP 数据包起实现的后量子 DNS 隐私保护
简介本文提出 VeilDNS，一种与 DNS 原生兼容的协议，使用后量子密钥封装机制（KEM）和认证加密（AEAD），在一次 UDP 交换中同时加密 DNS 查询与应答并认证解析器。该协议保留 DNS 报文格式，运行于标准 UDP 53 端口，并支持无状态与有状态两种模式。与基于 ML-DSA 的 DoT/DoH/DoQ 相比，作者报告了更高的冷会话吞吐量、更低的延迟、CPU 时间、字节数与包数；论文还用 Tamarin 形式化验证了查询保密性、响应认证和前向保密性。
看点提出单次UDP即可加密并认证DNS的后量子协议，通过协议设计消除冷启动握手开销；以Tamarin验证安全性，并与ML-DSA方案对比实验，吞吐、延迟、字节数均有显著改进。
说明基于表示感知逻辑集成增强大模型漏洞检测
简介该论文研究用大语言模型检测C语言源代码漏洞时，源代码、抽象语法树和控制流图等不同代码表示各有优势。作者据此提出表示感知逻辑集成方法（RALE），通过显式逻辑规则和多数投票整合不同表示训练的模型。文中报告单一表示模型的F1分数最高为73%，集成方法达到78%，且准确率、精确率和召回率也都有相应提升。
说明默认运行在 Ring-0：将智能体视为操作系统（AaOS）
简介论文指出，大语言模型智能体已具备读写文件、启动进程和子智能体、加载第三方扩展等操作系统职责，却缺少操作系统多年积累的保护机制，模型输出以用户全部权限运行。作者把智能体与标准操作系统教材的机制逐一对照，共映射116项机制，其中仅11项同构、65项缺失，多为权限隔离、资源配额和防篡改审计等保护功能。作者还在Claude Code、Codex CLI和Gemini CLI上做了13项实验，检验该映射结论。
看点将操作系统教科书机制逐一映射到LLM智能体，系统识别116项机制中大量缺失的保护，并通过13个实验在三款CLI上验证。
说明针对Fil-C软件能力的Rowhammer攻击研究（论文）
简介本文研究Rowhammer硬件漏洞对程序语义的影响：反复访问相邻DRAM行可能使受害行发生比特翻转，违背读写一个内存位置不会改变其他位置的基本假设。作者提出一种概率小步操作语义，用于抽象的命令式语言，并以物理隔离防御为案例，证明在受保护投影下该语义与无故障执行的结果一致。
说明离线边缘生成式AI的信任机制：连接状态框架与树莓派5实证研究
简介本文针对物联网设备在网络受限或无网络时运行大语言模型的问题，提出按连接状态划分的C0至C4框架、推理阶段信任机制分类，以及签名版本化知识包作为断网场景下的更新渠道。作者在树莓派5上完成了断网本地检索增强生成实验，并对多个模型和检索规模进行了评估。结果显示，签名验证的耗时远低于设备端重新嵌入知识，但有效签名的投毒知识包仍能通过所有检查，且这些机制都无法确认证据本身的真实性。
说明VulDec：通过神经反编译进行二进制漏洞检测
简介该论文提出VulDec，包含一个大规模、精心整理的数据集，将真实的汇编与C函数对配对并标注CWE漏洞类别，并首次提出利用神经反编译进行二进制漏洞检测的端到端框架。论文称，在该数据集上微调的基于LLM的神经反编译器能较好地恢复源代码，检测器在一个分布内的现实测试集（漏洞率3%）上宏平均F1值达到0.61。
